Innerhalb vieler Organisationen besteht eine feste Liste von Anwendungen, die "außerhalb des Anwendungsbereichs" fallen sollen. Ein Textvorschlag in einer Textverarbeitung, ein Spamfilter, ein Chatbot, der nur auf Basis einer festen FAQ antwortet. Die Annahme ist, dass diese Anwendungen zu klein, zu alt oder zu harmlos sind, um unter Governance zu fallen. Diese Annahme trifft manchmal zu. Sie trifft nicht immer zu, und sie trifft selten dauerhaft zu.
Ob etwas außerhalb des Anwendungsbereichs fällt, ist keine Eigenschaft der Technologie. Es ist eine Einordnung, die sich daraus ergibt, was das System tut, für wen, und mit welchem Effekt, wenn es schiefgeht. Derselbe Textvorschlag, der heute außerhalb des Anwendungsbereichs fällt, weil er einem Mitarbeiter nur ein Wort vorschlägt, kann morgen innerhalb des Anwendungsbereichs fallen, sobald er automatisch E-Mails abschließt und ohne Eingreifen versendet.
Drei Faktoren bestimmen zusammen, ob eine Anwendung innerhalb oder außerhalb des Anwendungsbereichs fällt.
Der erste ist die Funktion: Trifft das System eine Entscheidung, oder liefert es nur Informationen, die ein Mensch beurteilt? Ein Tool, das Bewerber rangiert, steht näher am Anwendungsbereich als ein Tool, das nur Lebensläufe durchsuchbar macht. An welcher Stelle in diesem Spektrum eine Anwendung genau steht und warum, lesen Sie in der Analyse, was ein hohes Risikoniveau für Ihre Organisation bedeutet.
Der zweite ist die Rolle der Organisation selbst. Wer ein System kauft und unverändert nutzt, steht anders dazu als wer es selbst baut, trainiert oder anpasst. Dieselbe Anwendung kann für die eine Organisation außerhalb des Anwendungsbereichs fallen und für die andere nicht, rein basierend darauf, wer welche Verantwortung trägt. Diese Aufteilung wird ausgearbeitet in der Frage, ob Sie Anbieter oder Nutzer sind, und ändert sich, sobald jemand in der Organisation ein Modell anpasst oder nachtrainiert, wie beschrieben in was sich ändert, wenn Sie ein Modell selbst anpassen.
Der dritte Faktor ist Zeit. Ein System, das jetzt außerhalb des Anwendungsbereichs fällt, kann das ein Jahr später nicht mehr sein, nicht weil die Regeln sich geändert haben, sondern weil sich die Nutzung geändert hat. Ein Chatbot, der als Informationsquelle begann, kann sich zu einem System entwickeln, das Beschwerden abwickelt. Die Rolle eines Teams oder einer Abteilung gegenüber einem solchen System verschiebt sich dann mit, und wann das geschieht, steht beschrieben in wann sich Ihre Rolle ändert und wovon das abhängt.
Die Folge dieser drei Faktoren ist, dass "außerhalb des Anwendungsbereichs" niemals ein dauerhafter Status ist. Es ist eine Momentaufnahme, die erneut betrachtet werden muss, sobald die Funktion eines Systems sich ändert, sobald die Organisation eine andere Rolle gegenüber diesem System erhält, oder sobald sich die Nutzung auf etwas ausweitet, was bei der Anschaffung nicht vorgesehen war.
Genau hier stört Schatten-KI die Einordnung. Eine Anwendung, die auf der IT-Liste als "außerhalb des Anwendungsbereichs" vermerkt ist, kann in der Praxis auf eine Weise genutzt werden, die dazu nicht mehr passt. Ein Team, das ein Sprachmodell einsetzt, um Kundenkommunikation im Konzept zu verfassen, nutzt es vielleicht auch, um endgültige Antworten zu versenden, ohne das zu melden. Die Klassifizierung auf dem Papier und die Nutzung in der Praxis laufen dann auseinander, und niemand, der nur auf die eingekauften Lizenzen schaut, sieht diesen Unterschied.
Die einzige Möglichkeit, davon einen Überblick zu bekommen, ist Fragen. Nicht an ein System, sondern an die Menschen, die es nutzen. Das funktioniert nur, wenn Fragen stellen nicht mit Abrechnen gleichgesetzt wird: Wer Konsequenzen fürchtet, passt seine Antwort an oder gibt keine. Eine Einordnung, die ausschließlich auf eingekauften Lizenzen beruht, übersieht daher systematisch die Anwendungen, die aus praktischer Nutzung entstanden sind, und das sind oft genau die Anwendungen, von denen niemand mehr weiß, ob sie noch außerhalb des Anwendungsbereichs fallen oder inzwischen weit innerhalb liegen.
Die Frage "Fällt das außerhalb des Anwendungsbereichs" kann also nicht losgelöst von der Frage beantwortet werden, was genau passiert, wer darüber entscheidet, und wie lange diese Situation schon so besteht. Ein Inventar, das diese drei Faktoren pro Anwendung festhält, liefert eine Einordnung, die der tatsächlichen Situation entspricht statt der Annahme, mit der ein System einst angeschafft wurde. Was dabei jetzt schon Aufmerksamkeit erfordert und was in Ruhe geplant werden kann, hängt von denselben Faktoren ab und wird behandelt in der Unterscheidung zwischen was jetzt erforderlich ist und was geplant werden kann.
Sobald klar ist, welche Anwendungen innerhalb des Anwendungsbereichs fallen und welche Rolle Ihre Organisation dabei spielt, entsteht eine Anschlussfrage, die nicht Governance betrifft, sondern die Arbeit selbst: Welcher Teil einer Aufgabe wird eigentlich von einer solchen Anwendung übernommen, und welcher Teil bleibt Menschenwerk? Diese Frage beantwortet der Governance-Scan nicht. Dafür ist der Arbeitsscan von FTE TO AI gedacht, der pro Aufgabe berechnet, welcher Teil der Arbeit von KI übernommen werden kann, und so ein Bild des Einsatzes gibt, der sich hinter der Klassifizierung verbirgt.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.